なぜ今、三菱UFJ銀行はPPAPをやめるのか？ その決断が示す次の標準：PPAPは役目を終えたのか

長年、日本企業のファイル送信手段として定着してきた「PPAP」。政府機関での廃止が進む中、今度は三菱UFJ銀行が大きな決断を下した。単なる運用変更では終わらないこの動きは、取引先企業の情報共有の在り方にも影響を及ぼす可能性がある。

[有限会社オングス,田渕聖人，＠IT]

　三菱UFJ銀行は2026年6月8日、顧客を対象とした電子メールにおけるパスワード付き添付ファイルの送信を原則終了し、2026年7月18日から順次、専用ダウンロードサイトを利用する方式に切り替えると発表した。

　同行が顧客にファイルを送付する際は、電子メールの本文に専用ダウンロードサイトのURLを記載する方式に変更する。受信者は指定されたWebサイトにアクセスし、別送されるダウンロード専用パスワードでファイルを取得する。

三菱UFJ銀行のPPAP離れは何を意味するのか？　他企業への影響

　対象となるのは、これまで利用してきたパスワード付きZIPファイルの送信手法だ。送信者がZIPファイルをメールで送り、その後にパスワードを別の電子メールで通知する運用は「PPAP」と呼ばれ、日本の企業や官公庁で広く採用されてきた。

　しかしパスワード付きZIPファイルは暗号化されているため、受信時にセキュリティ製品による内容確認が困難との指摘が続いている。近年は、この仕組みを悪用したマルウェア攻撃も確認されており、企業の情報セキュリティ対策における課題の一つとなっていた。

　三菱UFJ銀行は今回の変更理由について、顧客のセキュリティ確保を挙げている。同行役職員がファイルを送付する際は、添付ファイルそのものを電子メールに付与せず、専用Webサイト経由で提供する運用に移行する。

　PPAPは長年にわたり国内企業で利用されてきた。電子メールの誤送信対策や情報漏えい防止策の一環として採用例が増えた背景があるが、パスワード通知も同じ電子メール経路に依存する点や、セキュリティソフトウェアによる検査を妨げる点などが問題視されてきた。

　政府は2020年末に中央省庁でPPAPの廃止方針を決定しており、それ以降、民間企業においても代替手段への移行が広がっている。クラウドストレージや専用ファイル共有サービスを利用する事例が増加した。金融機関を含む大企業においては、電子メールにファイルを直接添付せず、受信者が専用Webサイトから取得する方式を採用する例が多い。

〜記者の目：ニュースをちょっと深掘り〜

三菱UFJ銀行によるPPAP廃止は、一企業の運用変更以上の意味を持つ。大規模金融機関が明確に「電子メール添付＋別送パスワード」という手法から離脱したことで、日本企業におけるファイル共有の標準が再び見直される可能性が高まった。

そもそもPPAPが広まった背景には一定の合理性があった。誤送信時に第三者がすぐ内容を閲覧できないことや、暗号化によって情報漏えいリスクを低減できると考えられていたためだ。特にコンプライアンス意識が高い企業や官公庁、金融機関では「セキュリティ対策を実施している証明」として定着した側面もある。

しかし、近年はデメリットの方が目立つようになった。パスワード付きZIPファイルはメールセキュリティ製品による内容検査を妨げるため、マルウェアが内部に持ち込まれる温床になり得る。また、ZIPファイルとパスワードを同じメールシステムで送る運用では、攻撃者が電子メールを盗み見た場合、防御効果が限定的という指摘も根強い。

こうした課題から、代替手段として普及しているのがクラウドストレージやファイル共有サービスだ。共有リンクの有効期限設定やアクセス権管理、多要素認証、ダウンロード履歴の取得など、PPAPでは実現できなかった管理機能を備える。今回の三菱UFJ銀行の取り組みも、その流れに沿ったものだろう。

注目すべきは、この変化が取引先企業にも波及する可能性だ。金融機関は多くの企業と日常的に文書をやりとりしている。取引先が専用ダウンロードサイト経由での受領に慣れれば、自社のファイル共有方法を見直すきっかけになるだろう。特に中堅・中小企業では、これまで「取引先がPPAPを求めるから続けている」というケースも多かったはずだ。

政府機関や大企業、そして金融業界へと広がるPPAP離れは、日本企業の情報共有基盤が転換期を迎えていることを示している。もちろん、PPAPを廃止しただけで安全になるわけではない。重要なのは、ファイル共有そのものを認証・監査・アクセス制御まで含めて設計することだ。三菱UFJ銀行の決断は、企業に対して「PPAPをやめるべきか」ではなく、「次世代のファイル共有をどう構築するか」という問いを投げかけているように見える。（田渕聖人）